DNS 設定書き換え攻撃によって拡散する Android 端末向け不正アプリ「XLOADER」を確認

2018 年 3 月上旬以降、日本、韓国、中国、台湾、そして香港を対象とする新しいネットワーク攻撃が確認されています。これは、DNS キャッシュポイズニングまたは DNS スプーフィングと呼ばれる攻撃で、総当たり攻撃や辞書攻撃のような手法を利用して DNS サーバに侵入し、設定を書き換えたものと考えられます。変更された DNS 設定によって誘導されるドメインは、Android 端末向け不正アプリ「XLOADER（エックスローダ）」（「ANDROIDOS_XLOADER.HRX」として検出）の拡散およびインストールに利用されています。

XLOADER は、DNS 設定の変更によって誘導されたドメインからユーザの端末に送信される通知によって拡散し、正規の Facebook アプリまたは Chrome アプリに偽装しています。この不正アプリは、個人情報や金融機関情報、インストールされているアプリ一覧情報などを窃取します。また、感染端末を乗っ取って SMS を送信したり、管理者権限を利用して設定の変更を防いだり、活動を継続したりすることが可能です。

図 1：偽の Facebook アプリおよび Chrome アプリ（赤枠）

図 2：「XLOADER」の感染の流れ

■感染の流れ

本ブログで 2018 年 3 月 30 日に「続報：ルータの DNS 設定変更による不正アプリ感染事例で新たな不正サイトを確認」の記事で報告したように、この攻撃ではルータを侵害して設定を上書きすることにより、ユーザからのインターネットトラフィックを攻撃者が指定したドメインに誘導します。ユーザは、この時表示される偽の警告メッセージによって正規アプリに偽装した XLOADER をダウンロードするように促されます。

図 3：書き換えられた DNS 設定によって誘導されたドメインで表示される偽の通知

■バックグラウンドサービスによる不正活動の開始

最初に、XLOADER は必要なモジュールを作成するために「Assets/db」から暗号化されたデータを読み込み、”test.dex” を作成します。次に、端末の管理者権限を要求し、承認後はランチャーのアプリ一覧からアイコンを隠してサービスを起動し、バックラウンドで実行し続けます。このバックグラウンドサービスは、プログラム実行時に内部的なプロパティの読み取りや書き換えを行う Java の機能「リフレクション」を利用し、「com.Loader.start」メソッドを起動します。

図 4：リフレクションによって主要な不正モジュールを起動するコード

■ブロードキャストイベントの監視

XLOADER は多くのブロードキャストレシーバを動的に登録します。ブロードキャストとは、起動や充電開始などのシステムイベント発生時に Android OS とアプリの間で送信されるメッセージです。XLOADER は、各システムイベントに対応するレシーバを登録することにより、システムイベントの発生をきっかけとして不正な機能を開始します。ブロードキャストされるアクションには以下のようなものがあります。

• android.provider.Telephony.SMS_RECEIVED
• android.net.conn.CONNECTIVITY_CHANGE
• android.intent.action.BATTERY_CHANGED
• android.intent.action.USER_PRESENT
• android.intent.action.PHONE_STATE
• android.net.wifi.SCAN_RESULTS
• android.intent.action.PACKAGE_ADDED
• android.intent.action.PACKAGE_REMOVED
• android.intent.action.SCREEN_OFF
• android.intent.action.SCREEN_ON
• android.media.RINGER_MODE_CHANGED
• android.sms.msg.action.SMS_SEND
• android.sms.msg.action.SMS_DELIVERED

■フィッシングに利用する Web サーバの構築

XLOADER は暫定的な Web サーバを構築し、ブロードキャストを受信します。また、ユーザを欺くために感染端末に単純な HTTP サーバを立ち上げます。このサーバは、新しいパッケージのインストール時や画面がオンになった際に送信されるブロードキャストを受信するたびに、オンライン銀行アプリで利用されるキーのような個人情報を窃取するためのフィッシングページを表示します。不正プログラム内にハードコードされているこのフィッシングページは、端末に設定された言語に応じて、韓国語、日本語、中国語、そして英語で表示されます。

図 5：日本語で表示されたフィッシングページ

■XLOADER の不正活動

XLOADER は、端末にインストールされたアプリの使用に関する情報を収集することが可能です。また、XLOADER の情報窃取機能には、SMS 関連のブロードキャスト受信後に SMS を収集したり、密かに通話を録音したりする機能があります。他にも、感染端末にインストールされた銀行アプリやゲーム関連アプリのアカウントを乗っ取る機能も備えています。

図 6：XLOADER が通話を録音するコード

XLOADER は、攻撃者が指定した他のアプリを起動することも可能です。この機能を利用した攻撃シナリオとして、正規アプリをリパックアプリや不正なバージョンのアプリに置き換えるような攻撃が想定されます。パッケージのインストール時に送信されるブロードキャストを監視することにより、XLOADERはそれらのパッケージを起動することができます。この手法では、ユーザによる明示的な同意が不要なため、気付かれずに不正アプリを起動することが可能です。

XLOADER をリバースエンジニアリングした結果、この不正アプリは韓国の銀行とゲーム開発企業を狙っていることが判明しました。XLOADERは、ユーザが端末の設定にアクセスできないようにし、韓国でよく知られているウイルス対策アプリを利用できないようにします。

XLOADER は、コマンド & コントロール（C&C）サーバからコマンドを受信して実行するために、図 7 に示した複数の不正モジュールを読み込みます。

図 7：XLOADER の不正モジュール

各モジュールとその機能は以下の通りです。

XLOADER が、C&C サーバとの通信に「ws（WebSocket）」または「wss（SSL/TLSを利用した WebSocket）」を悪用していることも特筆に値します。WebSocket は、多くのブラウザや Web アプリケーションが対応している双方向通信が可能なプロトコルです。C&C の一部として利用されている URL は 3 つの Web ページに隠ぺいされており、XLOADER は地域ごとに異なる C&C サーバに接続します。

WebSocket は、クライアント側からのリクエストに応じて通信を行う HTTP とは異なり、1 度接続を確立するとクライアントとサーバの間でいつでもデータをやり取りすることが可能なプロトコルです。XLOADER は、より高速に効率良くデータを送信するために、窃取した情報を「MessagePack」形式に変換し、WebSocket プロトコルで送出します。

図 8：C&C サーバに関連した URL が隠ぺいされた Web ページの 1 つ

図 9：XLOADER が C&C サーバの URL を構文解析するコード

■被害に遭わないためには

XLOADER は、対象の Android 端末がモバイルデータ通信を利用している場合には不正アプリをダウンロードしません。しかし、家庭用またはビジネス用ルータのセキュリティ欠陥を利用する脅威を回避するためには、適切なセキュリティ対策が欠かせません。不正アクセスを防ぐために強力なパスワードを利用し、脆弱性を狙う攻撃に対処するためにルータのソフトウェアおよびファームウェアを定期的に更新してください。また、機器に組み込まれたファイヤウォールの利用も有効です。

システム管理者および情報セキュリティの専門家は、ルータを適切に設定して DNS キャッシュポイズニングのような攻撃への対策を取り、今回のような脅威に対処してください。一般ユーザは、ルータの DNS 設定が変更されていないかチェックすることで同じことが可能です。DNSキャッシュポイズニングのような脅威さえも、ソーシャルエンジニアリングの手法を利用します。そのため、ユーザは明らかにマルウェアであるような特徴を持つ不審なメッセージや覚えのないメッセージに対して、より注意深くなる必要があります。

トレンドマイクロは Google と協力しており、Google は今回のような性質を持つ不正アプリが「Google Play Protect」によってプロアクティブに検出されていることを確認しました。また、Google Play でも、このような不正アプリは確認されていません。

■トレンドマイクロの対策

トレンドマイクロでは、モバイル環境での総合セキュリティ対策として、個人利用者向けには「ウイルスバスター™ モバイル」、法人利用者向けには「Trend Micro Mobile Security™」を提供しています。これらの製品ではクラウド型セキュリティ基盤「Trend Micro Smart Protection Network™（SPN）」の機能である「モバイルアプリケーションレピュテーション（MAR）」技術や「Web レピュテーション（WRS）」技術により、不正／迷惑アプリの検出や不正／迷惑アプリに関連する不正 Web サイトのブロックに対応しています。

■侵入の痕跡（Indicators of Compromise、IoC）

「ANDROIDOS_XLOADER.HRX」の SHA256 値は以下の通りです。

参考記事：

• 「XLoader Android Spyware and Banking Trojan Distributed via DNS Spoofing」

  by Lorin Wu (Mobile Threats Analyst)

翻訳： 澤山　高士（Core Technology Marketing, TrendLabs）